VPN каже „повезано“, али ништа се не рутира: два места где погледати

Тунел може да пријави да је повезан док ништа не долази до њега, а те две чињенице живе на различитим местима. Једно је табела рута, која још може да шаље пакете уређају који нико не поседује. Друго је резолвер, који још може да наводи сервер на вези која је нестала. Промена мреже није оштетила профил, она је оставила стање које је припадало претходној вези сироче, а поправка зависи од тога на коју од две заправо гледате.

Прво питајте језгро који би уређај користило

Списак рута показује шта постоји; претрага руте показује шта би се догодило. Питајте за јавну адресу и прочитајте име уређаја у одговору, јер то једно поље одлучује да ли ће пакет стићи негде корисно. Када одговор наведе тунелски уређај, језгро ће му предати пакете чак и ако иза тог интерфејса више не ради клијентски процес. Када одговор наведе физички адаптер док клијент тврди да је повезан, тунел је подигнут и само није изабрана путања.

Други случај је уобичајен након што кабл замени бежичну везу, и он се представља као покварен VPN.

ip route show default
ip route get 203.0.113.9

Затим прочитајте подразумеване записе, јер рута коју је додала претходна основна веза може да надживи промену везе и да стане испред нове. Подразумевана рута кроз уређај који је искључен гора је од никакве подразумеване руте, јер је језгро и даље преферира. Обратите пажњу на метрику поред сваког записа, јер тај редослед објашњава преференцију брже од имена интерфејса.

Затим читајте резолвер по вези, не по датотеци

Разрешавање имена носи сопствено стање и сопствену застарелост. Резолвер који наводи DNS сервере по вези задржава сервере тунелске везе која је искључена али још регистрована, и свака претрага затим чека сервер који неће одговорити. Симптом је мрежа која изгледа мртва док табела рута изгледа беспрекорно.

Прегледајте стање по вези уместо датотеке, јер је у многим дистрибуцијама та датотека симболичка веза у резолвер и њено уређивање или не чини ништа или се брзо препише. Погледајте која веза поседује које сервере и који домен претраге, а затим питајте да ли тунелска веза уопште још треба да буде регистрована. Ако не треба, деактивирајте везу која је поседује уместо да ручно уређујете генерисано стање. Име које се разреши док претрага руте шаље пакете другде је трећа и одвојена грешка.

resolvectl status
resolvectl query app.internal.example

Ако се адресе разрешавају а везе не успевају, резолвер је у реду а рута није. Ако се адресе уопште не разрешавају, ово је право место за почетак.

Како застарела рута преживи промену

Клијент не поседује мрежу сам. На домаћину са NetworkManager-ом профил VPN-а активира се поврх основне везе, а подешавања везе дозвољавају тој основи да именује VPN који би је требало следити. Када се основа промени јер други профил постане пожељан, тунел следи на нову основу или остаје без ње.

Профил VPN-а не подиже сам себе, па је упаривање много важније од сопственог подешавања аутоматског повезивања профила.

Прочитајте списак активних и забележите која је основа подигнута пре него што дотакнете тунел. Ако је основа на списку а тунел није, рута недостаје уместо да је застарела и поправка је активација. Ако активација тунела жали да нема изворне везе, основа са којом је био упарен је нестала, па је прво подигните или поправите упаривање уместо да поново покушавате тунел. Понављање покушаја са профилом чији родитељ недостаје сваки пут даје исту грешку, што је користан сигнал а не сметња.

nmcli device status
nmcli connection show --active
nmcli connection up office-vpn

Разликујте застарело стање од родитеља који недостаје

Три стања објашњавају скоро сваки извештај и свако тражи другачију поправку. Подразумевана рута кроз уређај који још постоји али више не носи тунел јесте застарело стање, уклоњено брисањем записа или поновним покретањем одговорног профила. Тунелски уређај чији је клијентски процес нестао је неуспех чишћења, па пажњу заслужује пут искључивања а не табела рута. Никакав тунелски уређај значи да недостаје родитељ или упаривање и да табела рута никада није била укључена.

Поновно покретање скрива које сте од три имали, и управо зато изгледа као поправка.

Након поправке питајте језгро за једну јавну и једну унутрашњу адресу, затим претражите унутрашње име. Када адреса ради а име не, нашли сте проблем опсега домена у резолверу а не проблем рутирања. Запишите које стање сте нашли, јер ће следећа промена мреже поновити оно које сте оставили на миру.